(57)【要約】【課題】  制御部、入出力手段を制御対象物に対して２重化して、かつ、手動操作に確実に切り換えることができる制御装置を提供する。【解決手段】  プラント機器系７に対して一方が制御状態で他方が待機状態となりプラント機器系７を制御するための制御データを制御状態および待機状態のいずれの状態でも作成する２重化されたＡ系、Ｂ系ＣＰＵ部１、２と、プラント機器系７からの入力信号をＡ系、Ｂ系ＣＰＵ部１、２へ送り制御データをプラント機器系７に送信する２重化されたＡ系、Ｂ系入出力手段３、４とを備えた制御装置において、Ａ系、Ｂ系入出力手段３、４にそれぞれ接続されプラント機器系７の手動制御データを送信する手動操作部１１と、Ａ系、Ｂ系ＣＰＵ部１、２から出力される両制御データを受信して両制御データが任意の時間検出されないと手動操作部８の操作の切り換える診断手段３１、４１とを備えたものである。【選択図】        図１
2006344023.tif 000002
【特許請求の範囲】
【請求項１】
制御対象物に対して一方が制御状態で他方が待機状態となり上記制御対象物を制御するための制御データを上記制御状態および待機状態のいずれの状態でも作成する２重化された第１の制御部および第２の制御部と、上記制御対象物からの入力信号を上記第１の制御部または第２の制御部へ送り上記制御データを上記制御対象物に送信する２重化された第１の入出力手段および第２の入出力手段とを備えた制御装置において、上記第１の入出力手段および第２の入出力手段にそれぞれ接続され上記制御対象物の手動制御データを送信する手動操作部と、上記第１の入出力手段および第２の入出力手段に、上記第１の制御部および第２の制御部から出力される両制御データを受信して上記両制御データが任意の時間検出されないと上記手動操作部における手動操作の切り換える第１の診断手段および第２の診断手段とを備えたことを特徴とする制御装置。
【請求項２】
上記第１の診断手段および第２の診断手段からの信号を互いに他の診断手段に送受信するための第１の通信手段および第２の通信手段を備え、上記第１の診断手段および第２の診断手段は、上記第１の制御部および第２の制御部から出力される上記両制御データを受信して上記両制御データが任意の時間検出されないと上記第１の通信手段および第２の通信手段間の信号により上記いずれかの入出力手段の故障を判断し上記正常な入出力手段より上記制御データを制御対象物に送信することを特徴とする請求項１に記載の制御装置。
【請求項３】
上記第１の通信手段および第２の通信手段間の信号をパルス信号またはシリアル信号にて行い、上記パルス信号またはシリアル信号により上記第１の制御部および第２の制御部から上記第１の入出力手段および第２の入出力手段への信号線の断線を判断することを特徴とする請求項２に記載の制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、一方が制御状態の時、他方が待機状態となる２系統の制御部を有して、原子力発電プラント等の制御対象物を制御する制御装置に関するものである。
【背景技術】
【０００２】
従来の手動操作バックアップを可能とする制御装置は、自動制御を行うプラント制御系と、プラントと、プラントからの制御量と目標値との偏差を求める偏差演算部と、調節制御部と、プラント制御系の異常を検出して手動操作への切り換えを行う異常監視系とにて構成されている。異常監視系は、異常検出部と、解析指令部と、マンマシンインターフェイス部とにて構成されている。そして、プラント制御系内の調節制御部で異常が発生したとする。この時、プラントを調節するための制御出力は適切な出力を得られず、調節制御部の出力とプラントからの制御量とに異常偏差が生じ、それを監視している異常検出部が、プラント制御系の異常を検出する。それを受けて、解析指令部において、手動操作に切り換えるか否かの判定を行い、調節制御部とマンマシンインターフェイス部とに手動切換指令を発信する。これにより、それ以降は、オペレータエンジニアがマンマシンインターフェイス部を介して手動操作可能となる（例えば、特許文献１参照）。また２重化された装置としては、制御部の２重化は行われているが、２重化された制御部が同時に故障発生した場合の対応が考慮されていない（例えば、特許文献２参照）。
【０００３】
【特許文献１】特開２０００−８９８０１号公報
【特許文献２】特開平８−２５５１１５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来の制御装置は以上のようにプラント制御部が１重化で構成されているか、または２重化されていても手動バックアップが考慮されていないため手動操作の不要なシステムへの適用しかできないものである。しかし、原子力発電プラントなどを制御対象とする場合は高い信頼性が要求され、プラント制御部を２重化し、かつ２重化されたプラント制御部が同時に故障発生した時に手動バックアップが必要とされる。またその場合、プラント制御部を２重化し、入出力手段に手動操作インターフェイスをもたせるだけでは、２重化されたＣＰＵ部が同時に故障発生した時に手動操作を行うことができないという問題点がある。
【０００５】
この発明は上記のような課題を解決するためになされたものであり、制御部、および、入出力手段を制御対象物に対して２重化して、かつ、手動操作に確実に切り換えることができる制御装置を得ることを目的とする。
【課題を解決するための手段】
【０００６】
この発明は、制御対象物に対して一方が制御状態で他方が待機状態となり制御対象物を制御するための制御データを制御状態および待機状態のいずれの状態でも作成する２重化された第１の制御部および第２の制御部と、制御対象物からの入力信号を第１の制御部または第２の制御部へ送り制御データを制御対象物に送信する２重化された第１の入出力手段および第２の入出力手段とを備えた制御装置において、第１の入出力手段および第２の入出力手段にそれぞれ接続され制御対象物の手動制御データを送信する手動操作部と、第１の入出力手段および第２の入出力手段に、第１の制御部および第２の制御部から出力される両制御データを受信して両制御データが任意の時間検出されないと手動操作部における手動操作の切り換える第１の診断手段および第２の診断手段とを備えたものである。
【発明の効果】
【０００７】
この発明の制御装置は、制御対象物に対して一方が制御状態で他方が待機状態となり制御対象物を制御するための制御データを制御状態および待機状態のいずれの状態でも作成する２重化された第１の制御部および第２の制御部と、制御対象物からの入力信号を第１の制御部または第２の制御部へ送り制御データを制御対象物に送信する２重化された第１の入出力手段および第２の入出力手段とを備えた制御装置において、第１の入出力手段および第２の入出力手段にそれぞれ接続され制御対象物の手動制御データを送信する手動操作部と、第１の入出力手段および第２の入出力手段に、第１の制御部および第２の制御部から出力される両制御データを受信して両制御データが任意の時間検出されないと手動操作部における手動操作の切り換える第１の診断手段および第２の診断手段とを備えたので、手動操作に確実に切り換えることができる。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
以下、本願発明の実施の形態について説明する。図１はこの発明の実施の形態１の制御装置の構成を示したブロック図、図２は図１に示した制御装置の手動操作部の構成を示したブロック図である。図において、制御装置は、制御対象物としてのプラント機器系７に対して一方が制御状態で他方が待機状態となりプラント機器系７を制御するための制御データを制御状態および待機状態のいずれの状態でも作成する同一の構成にてなり２重化された第１の制御部としてのＡ系ＣＰＵ部１、および、第２の制御部としてのＢ系ＣＰＵ部２を備える。そして、Ａ系ＣＰＵ部１、Ｂ系ＣＰＵ部２はそれぞれ信号通信手段１１、２１により互いに通信可能であり、自己診断手段１０、２０がＡ系ＣＰＵ部１、Ｂ系ＣＰＵ部２の異常を検出し、判定手段１２、２２が制御演算の実行が困難と判断すれば、切換手段１３、２３が自らが属するＣＰＵ部を制御系から待機系に切り換えを行い、信号通信手段１１、２１により、他方のＣＰＵ部に切換信号を送信する。
【０００９】
さらに、プラント機器系７からの入力信号をＡ系ＣＰＵ部１またはＢ系ＣＰＵ部２へ送り制御データをプラント機器系７に送信する同一の構成にてなり２重化された第１の入出力手段としてのＡ系入出力手段３、および、第２の入出力手段としてのＢ系入出力手段４を備える。Ａ系ＣＰＵ部１およびＢ系ＣＰＵ部２は制御演算手段１５、２５による演算結果を出力するために、また、制御演算手段１５、２５に演算をするためのデータを入力するために、データ送受信手段１４ａ、１４ｂ、２４ａ、２４ｂを通じてＡ系入出力手段３およびＢ系入出力手段４とデータ送受信を行う。Ａ系入出力手段３およびＢ系入出力手段４ではデータ送受信手段３０ａ、３０ｂ、４０ａ、４０ｂにより、Ａ系ＣＰＵ部１、Ｂ系ＣＰＵ部２とデータ送受信を行う。Ａ系入出力手段３およびＢ系入出力手段４内には、Ａ系入出力手段３およびＢ系入出力手段４とデータ送受信手段３０ａ、３０ｂ、４０ａ、４０ｂの両制御データを受信して両制御データが任意の時間検出されないと手動操作部８の操作の切り換える受信データを自己診断して出力する第１のおよび第２の診断手段としての診断手段３１、４１を備える。
【００１０】
Ａ系ＣＰＵ部１およびＢ系ＣＰＵ部２側のデータ送受信手段１４ａ、１４ｂ、２４ａ、２４ｂと、Ａ系入出力手段３およびＢ系入出力手段４側のデータ送受信手段３０ａ、３０ｂ、４０ａ、４０ｂとは信号線としてのデータ伝送ライン５ａ、５ｂ、６ａ、６ｂにてそれぞれ接続されている。一般的に、Ａ系ＣＰＵ部１およびＢ系ＣＰＵ部２はプラント機器系７から離れた箇所である制御室などに設置されており、Ａ系入出力手段３およびＢ系入出力手段４はプラント機器系７とデータを送受信するためにプラント機器系７の近傍に設置されている。
【００１１】
手動操作部８は、自動モードに切り換えるための自動モード選択スイッチ８１と、手動モードに切り換えるための手動モード選択スイッチ８２と、制御データをＵＰさせるための制御データＵＰスイッチ８３と、制御データをＤＯＷＮするための制御データＤＯＷＮスイッチ８４とにて構成され、Ａ系入出力手段３およびＢ系入出力手段４にそれぞれ接続されてこれらを介してプラント機器系７を制御するための手動制御データを出力する。Ａ系入出力手段３およびＢ系入出力手段４には手動操作部８の手動制御データを取り込むための手動操作インターフェイス（以下、インターフェイスはＩ／Ｆと略して示す）手段３２、４２と、手動操作Ｉ／Ｆ手段３２、４２を介して入力された手動操作部８の自動／手動切換信号により自動／手動のモードの切り換えを行い、さらに、診断手段３１、４１にて異常が検出された場合に手動モードに切り換える自動／手動切換手段３３、４３と、自動モード時にはデータ送受信手段１４ａ、２４ｂからの受信データを制御データとしてプラント機器系７へ出力し、手動モード時には手動操作Ｉ／Ｆ手段３２、４２を介して入力された手動制御データをプラント機器系７へ出力する制御データ出力手段３４、４４とを備える。
【００１２】
次に、上記のように構成された実施の形態１の制御装置における動作について説明する。まず、手動操作部８から手動モードに切り換える場合の動作について説明する。Ａ系ＣＰＵ部１およびＡ系入出力手段３はプラント機器系７に対して制御データを出力しているイネーブルとする。そして、Ｂ系ＣＰＵ部２およびＢ系入出力手段４はプラント機器系７に対して制御データを出力していないディスイネーブルとする。すなわちここではＡ系ＣＰＵ部１が制御状態にあり、Ｂ系ＣＰＵ部２が待機状態にある。この状態において、運転員が手動操作部８にある手動モード選択スイッチ８２を押下して手動モードを選択する。次に、当該のスイッチ信号が手動操作Ｉ／Ｆ手段３２、４２を介して自動／手動切換手段３３、４３にそれぞれ伝達される。
【００１３】
次に、自動／手動切換手段３３、４３は、当該信号を受け、手動モードとして動作することを制御データ出力手段３４、４４に出力する。制御データ出力手段３４、４４は、手動モード信号を受けて、それまでＡ系ＣＰＵ部１およびＢ系ＣＰＵ部２から送信され、データ送受信手段３０ａ、４０ｂで受信していた制御データの出力を止める。具体的には、手動モード信号を入力した瞬間の制御データの値を保持し、その後は、制御データＵＰスイッチ８３、制御データＤＯＷＮスイッチ８４の操作に応じて制御データの増減を行う。そして、手動操作部８の制御データの増減は、Ａ系ＣＰＵ部１がＡ系入出力手段３の制御データ出力手段３４からデータ送受信手段３０ａおよび１４ａを介して制御データの出力値を読み込み、その値をデータ送受信手段１４ｂおよび４０ａを介してＢ系入出力手段４に伝達する。このことにより、Ａ系入出力手段３とＢ系入出力手段４と制御データの値を合致させておく。
【００１４】
次に、Ａ系ＣＰＵ部１、Ｂ系ＣＰＵ部２がともに異常発生して手動モードに切り換える場合の動作について説明する。まず、制御状態であるＡ系ＣＰＵ部１が、制御演算の実行が困難な異常が発生したとする。この時、Ａ系ＣＰＵ部１内の自己診断手段１０が異常を検出し、判定手段１２が制御演算の実行が困難と判断し、切換手段１３により制御系から待機系に切り換える。これとともに、信号通信手段１１よりＢ系ＣＰＵ部１５に切換信号を送信する。次に切換手段１３は、データ送受信手段１４ａ、１４ｂに対してデータ送受信の停止を指示する。そしてＢ系ＣＰＵ部２は、Ａ系ＣＰＵ部１からの切換信号を受信して、新たに制御系となる。そしてその制御状態を継続する。この状態において、さらに、Ｂ系ＣＰＵ部２に制御演算の実行が困難な異常が発生したとする。この時、Ｂ系ＣＰＵ部２内の自己診断手段２０が異常を検出し、判定手段２２が制御演算の実行が困難と判断し、切換手段２３が制御系から待機系に切り換える。これとともに、信号通信手段２１よりＡ系ＣＰＵ部１５に切換信号を送信する。次に切換手段２３は、データ送受信手段２４ａ、２４ｂに対してデータ送受信の停止を指示する。
【００１５】
よって、Ａ系ＣＰＵ部１内のデータ送受信手段１４ａ、１４ｂ、Ｂ系ＣＰＵ部２内のデータ送受信手段２４ａ、２４ｂのいずれからもデータが送信されなくなる。この時、例えば、Ａ系入出力手段３およびＢ系入出力手段４では、診断手段３１、４２が任意の時間以上、データ送受信手段３０ａ、３０ｂ、４０ａ、４０ｂのいずれからも受信がないことを検知して、異常発生（手動に切り換えるための信号）を自動／手動切換手段３３、４３と、制御データ出力手段３４、４４に伝達する。次に自動／手動切換手段３３、４３は、その信号を受信して手動モードに切り換える。制御データ出力手段３４、４４は、信号を受信する直前の制御データの値を保持する。それ以降は、Ａ系入出力手段３およびＢ系入出力手段４は手動モードとして動作し、手動操作部８の操作に応じて制御データの増減を可能とする。そして、手動操作部８の制御データの増減は、Ａ系ＣＰＵ部１がＡ系入出力手段３の制御データ出力手段３４からデータ送受信手段３０ａおよび１４ａを介して制御データの出力値を読み込み、その値をデータ送受信手段１４ｂおよび４０ａを介してＢ系入出力手段４に伝達する。このことにより、Ａ系入出力手段３とＢ系入出力手段４と制御データの値を合致させておく。
【００１６】
次に、Ｂ系ＣＰＵ部２が故障し、かつデータ伝送ライン５ａが断線した場合の動作について説明する。待機状態であるＢ系ＣＰＵ部２に制御演算の実行が困難な異常が発生したとする。この時、Ｂ系ＣＰＵ部２内の自己診断手段２０が異常を検出し、判定手段２２が制御演算の実行が困難と判断し、信号通信手段２１よりＡ系ＣＰＵ部１４に異常発生信号を送信するとともに、データ送受信手段２４ａ、２４ｂに対してデータ送受信の停止を指示する。この状態で、データ伝送ライン５ａが断線すると、Ａ系入出力手段３は、自己診断手段３１が一定時間以上、データ送受信手段３０ａ、３０ｂのいずれからも受信がないことを検知して、異常発生を自動／手動切換手段３３と、制御データ出力手段３４に伝達する。自動／手動切換手段３３は、その信号を受信して手動モードに切り換える。制御データ出力手段３４は、信号を受信する直前の制御データの値を保持する。
【００１７】
それ以降は、Ａ系入出力手段３は手動モードとして動作し、手動操作部８の操作に応じて制御データの増減を可能とする。そしてＢ系入出力手段４については、Ａ系ＣＰＵ部１内の自己診断手段１０がデータ送受信手段１４ａに一定時間以上の受信がないことを検知し異常と判断し、判定手段１２が制御演算の実行が困難と判断する。また信号通信手段１１を介してＢ系ＣＰＵ部２で異常が発生していることを検知しているため、切換手段１３からの切換信号は発信しないが、データ送受信手段１４ａ、１４ｂに対してデータ送受信の停止を指示する。よって、Ｂ系入出力手段４の診断手段４２は任意の時間以上データ送受信手段４０ａ、４０ｂのいずれからも受信がないことを検知して手動モードに移行する。
【００１８】
上記のように構成された実施の形態１の制御装置によれば、制御部および、入出力部を制御対象物に対して２重化し、かつ、２重化された制御部に不具合が生じた場合の手動操作を可能とするため、２重化された制御部が同時に故障（制御部自体の故障、および、データ伝送ラインに基づいた制御部の故障を含む）発生した時に手動操作を容易に行うことができる。
【００１９】
実施の形態２．
上記実施の形態１では、Ａ系入出力手段３とＢ系入出力手段４との間を全く独立なものとして構成していたため、Ｂ系ＣＰＵ部２が故障し、かつ、データ伝送ライン５ａが断線した場合には、Ａ系ＣＰＵ部１とＢ系入出力手段４とを結ぶデータ伝送ライン５ｂが正常であるにも係らず、Ａ系入出力手段３およびＢ系入出力手段４ともに手動モードに移行せざるを得なかった。ここではそのような場合に対応可能なものについて説明する。図３はこの発明の実施の形態２の制御装置の構成を示すブロック図、図４は図３に示した制御装置の通信手段における信号送信状態を示す図である。図において、上記実施の形態１と同様の部分は同一符号を付して説明を省略する。Ａ系入出力手段３およびＢ系入出力手段４に、診断手段３１、４２からの信号を入力して相互の状態監視を行うことができる第１の通信手段としての通信手段３５および第２の通信手段としての通信手段４５を備える。さらに、これら通信手段３５、４５間の信号をパルス信号として、各通信手段３５、４５にパルス診断機能３６、４６をそれぞれ設ける。
【００２０】
次に、上記のように構成された実施の形態２の制御装置における動作について説明する。但し、手動操作部から手動モードに切り換える場合、および、Ａ系ＣＰＵ部１、Ｂ系ＣＰＵ部２がともに異常発生して手動モードに切り換える場合の動作などは上記実施の形態１と同様の動作にて行うことができるためその説明は適宜省略する。ここでは上記実施の形態１と異なる、Ｂ系ＣＰＵ部２が故障し、かつデータ伝送ライン５ａが断線した場合について説明する。まずＡ系入出力手段３の診断手段３１にて、データ送受信手段３０ａ、３０ｂのどちらからも任意の制御データが送信されないことを検出する。次に、Ａ系入出力手段３は、通信手段３５を介してＢ系入出力手段４が健全であり（故障が発生していない）、Ａ系ＣＰＵ部１が正常であることを受信する。この状態で、診断手段３１は、制御データ出力手段３４に制御データの出力をＯＦＦさせるとともに、異常発生信号を信号通信手段３５を介してＢ系入出力手段４に伝達する。次に、Ｂ系入出力手段４は、通信手段４５を介してＡ系入出力手段３が故障したことを検知して、Ａ系ＣＰＵ部１にて作成された制御データをデータ送受信手段４ａから受信して制御データ出力手段４４を介してプラント機器系７に出力する。
【００２１】
さらに、Ａ系入出力手段３とＢ系入出力手段４との間をいずれの信号線（データ伝送ライン）が断線したことを検知するために、図４に示すように、Ａ系入出力手段３とＢ系入出力手段４との間の信号の授受をパルス信号にて行い、パルス診断機能３６、４６により診断を行う。これにより、信号線の断線の有無が検出可能となる。このパルス診断機能３６、４６のパルス診断の詳細を示す。まず、異常発生有無信号３６１と、２ＫＨｚクロック３６４（異常無信号）、１ＫＨｚクロック３６５（異常有信号）を、各々のＡＮＤゲート３６６、３６７に入力する。異常発生していれば、ＡＮＤゲート３６７が有意になり、ＯＲゲート３６８には１ＫＨｚクロックが入力され、相手系へ送信される。
【００２２】
相手系にも同様のパルス診断機能３６、４６があり、相手系から送信されてきた異常発生有無信号は、２ＫＨｚ±２０％バンドパスフィルタ３６９、１ＫＨｚ±２０％バンドパスフィルタ３７２に入力される。仮に相手系から送信された信号が１ＫＨｚ（異常有）であれば、１ＫＨｚ±２０％バンドパスフィルタ３７２は通過できるが、２ＫＨｚ±２０％バンドパスフィルタ３６９は通過できない。従って、その後段のクロック検出器３７０はクロックを検出できずに０を出力するが、クロック検出器３７３はクロックを検出して１を出力する。従って、相手系異常を検出する。また、信号線が断線した場合、パルス（クロック）が伝送されないため、クロック検出器３７０、３７３の両方とも０を出力する。これにより、信号線の断線を検出して警報を発報し、早期の故障箇所の復旧を可能とする。
【００２３】
上記のように構成された実施の形態２の制御装置は、Ａ系入出力手段およびＢ系入出力手段の故障を判断して、正常である入出力手段より制御データを出力しているため、制御状態および待機状態を変更することなくかつ自動モードでの運転を継続可能にできる。さらに、パルス信号を用いることにより、いずれの信号線が断線しているのかを判断することができる。
【００２４】
実施の形態３．
上記実施の形態２では、Ａ系ＣＰＵ部１およびＢ系ＣＰＵ部３とＡ系入出力手段３およびＢ系入出力手段４との間の信号線の断線の有無を、信号の授受をパルス信号にて行う例について示したが、これに限られることはなく、ここでは通信手段３５、４５の通信にシリアル信号を用い、パリティ検定機能３７、４７をそれぞれ備える。このことにより、一定時間以上通信が途絶えたことで、信号線の断線を検出可能である。具体的には、一定間隔で送信する際に、前回送信時よりも＋１するカウンタを設ける。そして当該カウンタのカウントアップが一定時間以上なされないことで信号線の断線検出が可能である。
【００２５】
上記のように構成された実施の形態３の制御装置は、信号線の断線を検出して警報を発報し、早期の故障箇所の復旧を可能とする。また、Ａ系入出力手段とＢ系入出力手段の間を信号線で結ぶ場合は、パルス信号の場合は、異常発生有無の信号線、出力イネーブル／ディスイネーブルの信号線、自動／手動モードの信号線の少なくとも３本の線が必要であるが、シリアル信号にて通信とすることにより、１本の信号線で信号の授受が可能となる。
【図面の簡単な説明】
【００２６】
【図１】この発明の実施の形態１の制御装置の構成を示すブロック図である。
【図２】図１に示した制御装置の手動操作部の構成を示す図である。
【図３】この発明の実施の形態２の制御装置の構成を示すブロック図である。
【図４】図３に示した実施の形態２の制御装置におけるパルス診断機能を説明するための図である。
【図５】この発明の実施の形態３の制御装置の構成を示すブロック図である。
【符号の説明】
【００２７】
１  Ａ系ＣＰＵ部、２  Ｂ系ＣＰＵ部、３  Ａ系入出力手段、４  Ｂ系入出力手段、
７  プラント機器系、８  手動操作部、３１，４１  診断手段、２５，４５  通信手段。
【図１】
2006344023.tif 000003
【図２】
2006344023.tif 000004
【図３】
2006344023.tif 000005
【図４】
2006344023.tif 000006
【図５】
2006344023.tif 000007